Co obejmuje monitorowanie zgodności
Przedmiotem monitorowania nie jest sam przepis, lecz zobowiązania organizacji: polityki wewnętrzne (obsługa danych, dopuszczalne użycie, kontrola dostępu), mechanizmy kontroli, takie jak Data Loss Prevention, które je egzekwują, oraz obowiązki zmapowane na ramy takie jak RODO, HIPAA, PCI DSS czy ISO 27001. Przepisu nie da się obserwować bezpośrednio. Można sprawdzić, czy reguły napisane, by go spełnić, działają.
| Obszar | Pytanie, na które odpowiada |
|---|---|
| Przestrzeganie polityk | Czy reguły są przestrzegane w praktyce, per dział, system i kanał? |
| Skuteczność mechanizmów kontroli | Czy mechanizmy uruchamiają się, kiedy powinny, i czy reakcja była proporcjonalna? |
| Śledzenie obowiązków | Czy terminy, oświadczenia, przeglądy i odnowienia są realizowane? |
| Zgodność stron trzecich | Czy dostawcy i podmioty przetwarzające dane działają w granicach umów? |
Monitorowanie opiera się na politykach
Monitorowanie jest więc skupione na politykach. Każda polityka jest tłumaczona na zdarzenia, które można zaobserwować: plik wychodzący niezatwierdzonym kanałem, konto uprzywilejowane użyte poza oknem zmian albo przekroczony termin przeglądu. Program obserwuje te zdarzenia w sposób ciągły, a nie dopiero w czasie audytu. Monitorowanie aktywności użytkowników dostarcza zdarzenia, które można przypisać konkretnej osobie.
Jak działa pętla monitorowania
Monitorowanie zgodności działa jako powtarzający się cykl, a nie jednorazowe ćwiczenie:
- 1
Zdefiniuj
Przetłumacz każdą politykę na jawne, testowalne reguły z imiennym właścicielem i skalą dotkliwości.
- 2
Obserwuj
Zbieraj zdarzenia ze stacji końcowych, systemów i aplikacji na kanałach objętych politykami.
- 3
Wykrywaj
Koreluj zdarzenia z regułami i klasyfikuj każde odchylenie według dotkliwości i kategorii ryzyka.
- 4
Działaj
Powiadom właściciela, zablokuj lub poddaj kwarantannie, jeśli mechanizm na to pozwala, i otwórz działanie korygujące.
- 5
Raportuj
Agreguj wyniki w metryki i pakiety dowodowe dla zarządu, audytorów i regulatorów.
Dowody na potrzeby audytów
Drugim produktem monitorowania są dowody. Audytorzy i regulatorzy rzadko przyjmują zapewnienia. Pytają, co się wydarzyło, kiedy, kto był zaangażowany i co z tym zrobiono. Program monitorowania odpowiada zapisami: zdarzeniami ze znacznikiem czasu powiązanymi z użytkownikiem, regułą, która się uruchomiła, klasyfikacją treści i rozstrzygnięciem każdej sprawy. Anexet zbiera te zapisy w raportach o zgodności i bezpieczeństwie.
Aby zapis mógł wspierać wniosek, musi być kompletny i przypisywalny. Luki przerywają łańcuch rozumowania, a anonimowe zapisy niczego nie dowodzą. Liczy się też retencja: dowody muszą przetrwać cykl audytowy, ponieważ sam zapis monitorowania jest wrażliwy. Jego przetwarzanie podlega zasadom ochrony danych.
Metryki i KPI
Metryki zamieniają surowe obserwacje w informacje dla zarządzania. Praktyczny zestaw jest mały, stabilny i powiązany z polityką. Najczęściej używane wskaźniki:
| Wskaźnik | Co pokazuje |
|---|---|
| Wskaźnik naruszeń polityk | Naruszenia na stu użytkowników lub tysiąc zdarzeń, per polityka i kanał |
| Średni czas wykrycia (MTTD) | Jak długo odchylenie trwa, zanim się ujawni |
| Średni czas usunięcia (MTTR) | Czas od wykrycia do zamknięcia działania korygującego, per dotkliwość |
| Pokrycie kontrolą | Udział objętych systemów, użytkowników i kanałów, które mechanizm obserwuje |
| Starzenie się wyjątków | Jak długo zatwierdzone wyjątki pozostają otwarte; stare stają się naruszeniami |
| Wskaźnik powtarzających się ustaleń | Czy to samo odchylenie wraca po korekcie: znak, że mechanizm nie działa |
Monitorowanie zgodności a monitorowanie bezpieczeństwa
Obie dyscypliny korzystają z tych samych narzędzi i danych zdarzeniowych, ale odpowiadają na inne pytania. Monitorowanie bezpieczeństwa pyta, czy organizacja jest atakowana. Jego jednostką pracy jest incydent bezpieczeństwa, a zegarem minuty. Monitorowanie zgodności pyta, czy organizacja zachowała się zgodnie z własnymi politykami. Jego jednostką pracy jest odchylenie lub wyjątek, a zegarem cykl audytowy.
W praktyce dyscypliny się zazębiają: wyciek danych jest jednocześnie incydentem bezpieczeństwa i naruszeniem polityki. Wiele organizacji prowadzi oba procesy na tych samych strumieniach zdarzeń. Bezpieczeństwo reaguje szybko, a zgodność przechowuje zapis, który zachowa znaczenie, gdy audytor przyjdzie rok później. Program przeciwdziałania zagrożeniom wewnętrznym jest jednym z odbiorców tych samych danych.
Czytaj dalej: System DLP Anexet Ultimate jako wsparcie w spełnianiu wymagań RODO; Czym są systemy SIEM w zarządzaniu bezpieczeństwem informacji?.
Polityka na papierze to deklaracja. Zapis monitorowania jest dowodem.
Anexet TeamJak rozwiązuje to Anexet
Narzędzie monitorujące nie czyni organizacji zgodną. Obowiązek pozostaje po stronie organizacji. Wkład Anexet to warstwa obserwacji dla polityk dotyczących obchodzenia się z danymi wrażliwymi. System obserwuje w czasie rzeczywistym kanały, które te polityki regulują, i przechowuje zapisy dokumentujące, co zostało zrobione.
Architektura on-premise również pasuje do roli dowodowej. Zapisy monitorowania, czyli przechwycone zdarzenia, historia incydentów i dzienniki audytowe, pozostają w infrastrukturze organizacji, czego zwykle wymaga zapis zgodności.
Polityki bezpieczeństwa jako reguły monitorowania
Reguły oparte na treści, czyli tezaurusy bezpieczeństwa, banki skrótów, biblioteki cyfrowych odcisków i etykiety wrażliwości, na bieżąco oceniają transfery danych przez pocztę, sieć, chmurę, komunikatory, urządzenia wymienne, druk i schowek. Każde dopasowanie tworzy zarejestrowany incydent, a nie cichą linijkę w logu.
Kategoryzacja ryzyka incydentów
Każdy incydent trafia do wstępnie skonfigurowanych kategorii ryzyka, takich jak Wyciek danych czy Naruszenie prawa, albo do kategorii własnych. Trendy odchyleń można wtedy mierzyć per polityka, a nie przeglądać jako jeden strumień.
Egzekwowanie jako część zapisu
W zależności od dotkliwości i klasyfikacji treści polityka może zablokować transfer, poddać go kwarantannie, zarejestrować go lub wywołać alert. Sama reakcja mechanizmu staje się monitorowanym, przypisywalnym zdarzeniem.
Pełny, przypisywalny ślad audytu
Każde zdarzenie zawiera użytkownika, znacznik czasu, kanał, klasyfikację treści i podjęte działanie. To pola, o które pyta audytor, odtwarzając sposób obchodzenia się z danymi wrażliwymi.
Anexet DLP
Dowiedz się więcej